在發佈到query_posts之前，我是否需要清理用戶輸入？

我接管了一個插件的開發人員，他們幾乎已經通過ajax獲得了前端JavaScript到後端query_posts的1：1映射。在發佈到query_posts之前，我是否需要清理用戶輸入？

在這裏安全還是我需要逃避一切/某些領域？

編輯：我問的原因是parse_query已經包含了一堆消毒。我可以在我的插件中創建該代碼的完整副本，但這看起來有點愚蠢/毫無意義？和http://codex.wordpress.org/Function_Reference/query_posts文檔不提供有關消毒輸入

乾杯

來源

2015-09-30 dtbaker

清理所有用戶輸入，期限... – David

我很抱歉地說，但如果你問這個問題，你不應該接管插件的開發:-)。開玩笑 - 像@大衛提到的 - 你應該永遠消毒，並且消毒很多，並儘早消毒。你能列出一些排除「〜惰性〜」和「〜我相信什麼都不會發生〜」這樣的因素來消毒的'缺點'嗎？只是爲了個人利益 - 我會有興趣知道那些「cons」以供將來參考。誰知道 - 也許你是對的，我可以知道爲什麼不消毒。 –

@ObmerkKronen我問的原因是'parse_query'包含了一系列的消毒。我可以在我的插件中創建該代碼的完整副本，但這看起來有點愚蠢/毫無意義？和https://codex.wordpress.org/Function_Reference/query_posts文檔沒有提及任何有關提供清理輸入的內容。 – dtbaker

的parse_query包含一般的衛生，而不是具體的人到你的（未知）的情況下或數據類型的驗證提什麼。文檔沒有提到，因爲它假定程序員會這樣做。 CODEX是一個偉大的工具 - 我每天都在使用，但是您必須明白，它不是100％正確的，也沒有完成。這是更具體的指導方針。

其餘的都是一個常識。

我建議你閱讀HERE也HERE‌如果你想爲數據衛生和驗證法典參考 - 也爲那些內置到WordPress的特定數據類型的功能列表。

所以你的直接問題的答案只是「是」。你應該消毒/逃生，並且「不」，你應該認爲它不安全（即使它，或者你認爲它是）。

來源

2015-10-12 02:20:42

在發佈到query_posts之前，我是否需要清理用戶輸入？

回答

相關問題